Criptografar segredos do Kubernetes com o AWS KMS em clusters existentes

Abra o console do Amazon EKS em https://console.aws.amazon.com/eks/home#/clusters.

Escolha o cluster ao qual você deseja adicionar a criptografia do KMS.

Escolha a guia Overview (Visão geral) (selecionada por padrão).

Role para baixo até Secrets encryption (Criptografia de segredos) e escolha Enable (Habilitar).

Selecione uma chave na lista suspenso e escolha Enable (Habilitar). Se nenhuma chave estiver listada, primeiro você deve criar uma. Para obter mais informações, consulte Criar chaves

Escolha o botão Confirm (Confirmar) para usar a chave escolhida.

Associe a configuração da criptografia de segredos ao seu cluster usando o seguinte comando da AWS CLI: Substitua example values pelos seus próprios valores.

aws eks associate-encryption-config \
    --cluster-name my-cluster \
    --encryption-config '[{"resources":["secrets"],"provider":{"keyArn":"arn:aws:kms:region-code:account:key/key"}}]'

Veja um exemplo de saída abaixo.

{
  "update": {
    "id": "3141b835-8103-423a-8e68-12c2521ffa4d",
    "status": "InProgress",
    "type": "AssociateEncryptionConfig",
    "params": [
      {
        "type": "EncryptionConfig",
        "value": "[{\"resources\":[\"secrets\"],\"provider\":{\"keyArn\":\"arn:aws:kms:region-code:account:key/key\"}}]"
      }
    ],
    "createdAt": 1613754188.734,
    "errors": []
  }
}

Você pode monitorar o status da atualização da criptografia com o comando a seguir. Utilize o cluster name e o update ID específicos que foram retornados na saída anterior. Quando um status de Successful for exibido, significa que a atualização está concluída.

aws eks describe-update \
    --region region-code \
    --name my-cluster \
    --update-id 3141b835-8103-423a-8e68-12c2521ffa4d

Veja um exemplo de saída abaixo.

{
  "update": {
    "id": "3141b835-8103-423a-8e68-12c2521ffa4d",
    "status": "Successful",
    "type": "AssociateEncryptionConfig",
    "params": [
      {
        "type": "EncryptionConfig",
        "value": "[{\"resources\":[\"secrets\"],\"provider\":{\"keyArn\":\"arn:aws:kms:region-code:account:key/key\"}}]"
      }
    ],
    "createdAt": 1613754188.734>,
    "errors": []
  }
}

Para verificar se a criptografia está habilitada no cluster, execute comando describe-cluster. A resposta contém uma string EncryptionConfig.

aws eks describe-cluster --region region-code --name my-cluster